La administración ha cortado el acceso de la empresa, ha denunciado el hecho al Datatilsynet (la agencia danesa de protección de datos) y la policía investiga el caso con apoyo ministerial.
El lunes 5 de octubre de 2026, el registro civil danés, el Det Centrale Personregister, conocido como CPR, publicaba un comunicado de tres párrafos que ya ha recorrido el mundo: personas ajenas habían obtenido nombres, direcciones y números CPR de aproximadamente 8,8 millones de ciudadanos registrados abusando del acceso legal de una empresa danesa al sistema. No hubo zero-day, ni ransomware, ni un grupo con nombre de película. Hubo una credencial legítima que consultaba más de lo que nadie vigilaba. La historia acumuló 246 puntos y casi 200 comentarios en Hacker News en su primer día, y en los comentarios se resume el alcance con crudeza: prácticamente toda persona viva registrada en Dinamarca, más extranjeros con residencia y bastantes fallecidos, número de identidad, edad, sexo, relaciones familiares incluidas.
Para un freelance tech español, esta noticia no es material de porcentaje de morbo: es el mejor argumento de ventas de los últimos meses para un servicio que casi nadie ofrece empaquetado, la auditoría de accesos a datos. Este artículo disecciona qué falló, por qué el mismo patrón vive en miles de integraciones españolas, cómo se construye esa auditoría paso a paso, y cómo presentarla para que un cliente entienda que no le vendes paranoia, sino la prevención del peor lunes de su vida profesional.
Anatomía del incidente: un acceso legítimo usado sin límites
Resumen clave: Empezar por el firewall El alcance natural de esta auditoría son las integraciones y los accesos, no el perímetro. ¿Cuánto cobra un freelance por una auditoría de accesos? La auditoría de accesos de 2026 debe incluir a los agentes en el inventario del paso 1.
Reconstruyamos los hechos públicos. El CPR es el registro central de personas de Dinamarca: cada ciudadano tiene un número CPR que funciona como identificador universal, vinculado a nombre, dirección, fecha de nacimiento, filiaciones y estado civil. Empresas y organismos pueden solicitar acceso legal a consultas puntuales del registro, bancos, aseguradoras y administraciones lo hacen a diario para verificar identidades. Según el comunicado oficial, los atacantes no rompieron nada: se colaron tras el contrato de una empresa con acceso legítimo y usaron ese canal para extraer datos de 8,8 millones de registros.
Un detalle técnico marca todo el caso: los ciudadanos que habían activado la protección de nombre y dirección (navne- og adressebeskyttelse) quedaron fuera de la extracción de esos campos. Es decir, el sistema tenía un mecanismo de protección, pero solo funcionaba para quien lo había solicitado activamente. Y en los comentarios de Hacker News, un ingeniero danés resumió la falla de diseño con una frase que vale un informe de auditoría: sorprende que una empresa pudiera consultar el registro sin límites sobre qué información o cuántos registros.
Los tres fallos clásicos que se adivinan detrás
Aunque la investigación sigue abierta, el patrón coincide con tres fallos que cualquier auditor reconoce al primer vistazo. Primero, ausencia de límites de volumen: una integración que puede consultar un registro puede, en teoría, consultar ocho millones; si nadie alarmaba por volumetría anómala, descargar el país era una cuestión de paciencia. Segundo, exceso de privilegio: la empresa necesitaba verificar identidades puntuales y su acceso permitía leer campos y rangos que no necesitaba, el principio de mínimo privilegio, incumplido. Tercero, monitorización de acceso inexistente o pasiva: nadie estaba mirando los logs hasta que alguien miró. Ninguno de los tres fallos es exótico. Los tres se detectan con una revisión sistemática.
Por qué esto no es un problema danés
Es tentador leer la noticia y pensar » Dinamarca, país pequeño, fichero centralizado, qué mala suerte». El análisis superficial y el error de enfoque. España funciona con el mismo sustrato: decenas de ficheros públicos con acceso empresarial regulado, padrón, ficheros de tráfico, registros mercantiles, verificación de identidad, fuentes públicas agregadas por corretaje de datos, más un ecosistema entero de integraciones B2B donde una pyme accede a datos de clientes de otra pyme por API. Cada una de esas integraciones es, estructuralmente, el mismo escenario del CPR: una puerta legal que se vuelve catastrófica si nadie limita cuánto puede salir por ella.
El múltiplo español
Haz la multiplicación conmigo. Dinamarca tiene unos 5,9 millones de habitantes vivos y el registro comprometió 8,8 millones de fichas incluyendo históricos. España tiene 48. El equivalente hipotético no sería una filtración de 8,8 millones: sería de setenta millones de fichas. No hace falta que el agujero esté en una administración central: basta un agregador privado con acceso a varias fuentes, exactamente el perfil de la empresa danesa. Cuando vendas esta auditoría, esa aritmética es la que despierta a un comité de dirección más que cualquier slide sobre ciberamenazas.
La lección técnica: el vector de riesgo número uno es el acceso que ya concediste
La industria de la seguridad vende firewalls, EDR y pentesting porque son visibles y tienen presupuesto. Pero la mayoría de filtraciones masivas con origen en terceros comparten un esqueleto: credenciales o contratos legítimos, sin límites, sin vigilancia. El pentesting busca lo que se puede explotar desde fuera; la auditoría de accesos revisa lo que ya está autorizado, y eso es precisamente lo que falló en Copenhague.
Las cuatro preguntas que habrían parado el caso danés
1. ¿Puede esta integración leer campos que no necesita para su función? 2. ¿Existe un tope técnico de consultas por minuto, día y mes, y una alarma si se supera? 3. ¿Se revisan los logs de acceso de esa integración con regularidad, o solo cuando ya ha pasado algo? 4. ¿Qué pasa con los datos una vez dentro de la empresa que los consultó, copias, entornos de pruebas, backups? Cuatro preguntas. Un incidente de escala nacional. Esa asimetría es tu propuesta de valor.
El checklist que vende: auditoría de accesos en seis pasos
Aquí tienes el esqueleto de trabajo que puedes ejecutar en una pyme o un proveedor con acceso a datos de terceros en dos o tres semanas. Es deliberadamente vendible: cada paso produce un entregable que el cliente puede enseñar a su propio cliente o a un regulador.
Paso 1: Inventario de integraciones y consumidores
Ningún dashboard existe: se levanta a mano. Enumera todas las conexiones que entran y salen, APIs de terceros, webhooks, FTP heredado, exports programados, accesos de proveedores a sistemas internos. Para cada una: qué datos cruza, con qué legitimación contractual, y quién es el responsable interno. En empresas de 50-200 personas esto suele arrojar entre 15 y 40 integraciones, de las que una tercera parte ya no sabe nadie para qué sirven.
Paso 2: Mapa de privilegios contra principio de mínimo privilegio
Para cada integración y cada usuario técnico, documenta qué puede leer y comparar contra qué necesita. El gap entre ambas columnas es el hallazgo. Aquí encaja revisar campos (¿para verificar una identidad hace falta el historial de relaciones familiares?), rangos (¿puede consultar cualquier registro o solo los de sus propios clientes con consentimiento?) y vigencia (¿siguen activos accesos de proyectos terminados hace dos años?).
Paso 3: Límites y alarmas de volumetría
El control que literalmente habría evitado el caso danés. Cada integración debe tener un tope técnico de consultas por periodo y una alarma ante desviaciones: si un proveedor que consulta 200 registros al mes de repente consulta 200.000, alguien debe recibir un aviso automático y la capacidad de cortar el grifo en minutos. Si el sistema no lo soporta, eso es una recomendación de desarrollo priorizada.
Paso 4: Revisión de logs y detección de uso anómalo
Los logs existen pero nadie los lee: la regla, no la excepción. Define qué eventos se retienen, durante cuánto tiempo, quién los revisa y con qué frecuencia, y monta un mínimo de reglas de detección (consultas fuera de horario, patrones de barrido secuencial, uso desde IPs inesperadas). No hace falta un SIEM de seis cifras: para una pyme, alertas programadas sobre los logs ya existentes cubren el 80 % del valor.
Paso 5: Contratos y encargados de tratamiento
El RGPD convierte el contrato en un control técnico: cláusulas de finalidad, prohibición de reutilización, obligación de notificar brechas en 72 horas, derechos de auditoría y subencargados autorizados. Muchas integraciones heredadas llevan años funcionando sin ningún papel que las cubra. Este paso conecta directamente con lo que ya explica nuestra guía sobre la Ley de Ciberseguridad NIS2 en España y cómo vender cumplimiento, que añade exigencias de gobernanza para sectores críticos.
Paso 6: Informe con plan de remediación priorizado
El entregable final: hallazgos clasificados por riesgo real (no por teatralidad), plan de acción con esfuerzo estimado, y un modelo de acta que el cliente pueda presentar a su dirección o a sus propios clientes como prueba de diligencia. Ese último matiz, «esto te servirá para demostrar que hiciste los deberes», es el que convierte la auditoría en algo comprable también para empresas que no han tenido todavía su susto.
Cómo presentar la oferta: precios, paquetes y prospección
El momento de venta ideal es ahora: la filtración danesa está en portada y el recuerdo caduca en semanas. Tu campaña de prospección puede ser una sola página: «Qué pasó en Dinamarca, por qué tu empresa tiene el mismo patrón, y qué cuesta saber si estás expuesto». Nada más.
Tres formatos con precio
Auditoría express (3-5 días, 900-1.800 €): los pasos 1 y 2 sobre la integración más crítica del cliente; entregable con semáforo de riesgos. Es el producto de entrada que se compra sin comité. Auditoría completa (2-3 semanas, 2.500-6.000 €): los seis pasos con informe y plan de remediación. Retainer de revisión trimestral (400-900 €/mes): re-auditoría de accesos, revisión de logs y acompañamiento en la implementación de límites y alarmas, un modelo recurrente que ya definimos al detalle en nuestra guía de contratos retainer para freelance tech. Son rangos orientativos de mercado español; ajústalos a tu posición y a los datos de tu propia cartera.
A quién llamar primero
Perfiles con mayor exposición y menor madurez de seguridad: fintechs y aseguradoras que consultan fuentes externas de verificación, corretajes de datos y marketing con acceso a bases de terceros, SaaS B2B que consumen APIs de clientes, y despachos profesionales que manejan ficheros de personas. La conversación no empieza hablando de seguridad: empieza preguntando cuántas integraciones con datos externos creen tener. La cifra real siempre les sorprende.
Qué dice el marco normativo (y lo que el cliente teme de verdad)
El sustento legal que convierte tus recomendaciones en obligaciones. El RGPD exige en su artículo 32 medidas técnicas y organizativas apropiadas, control de acceso, mínimo privilegio y capacidad de restablecer la disponibilidad, y su artículo 25 impone la protección de datos desde el diseño, que es exactamente lo que no existía en el acceso sin límites del CPR. La LOPDGDD española lo desarrolla sancionadoramente: los niveles de multa por infracciones graves y muy graves llegan hasta 20 millones de euros o el 4 % de la facturación global anual. Y para entidades críticas, la normativa NIS2 transpuesta en España añade exigencias de gestión de riesgos y de cadena de suministro, incluidos los accesos de terceros. Si quieres profundizar en el marco completo de ciberseguridad como servicio, nuestra guía de ciberseguridad freelance en España: tarifas, certificaciones y mercado lo desglosa.
El dato del mercado que juega a tu favor
Según los datos de SeniorStack, en nuestro corpus de 24.953 ofertas tech analizadas, «GDPR» aparece en 241 y «RGPD» en 44, apenas un 1,1 % del total, y «ciberseguridad» en 397 (1,6 %). Las empresas españolas contratan seguridad para firefighting, casi nunca para prevención de accesos. Y según nuestra agregada de Security senior en remoto en España, el segmento cierra el Q4 2026 con solo 20 ofertas activas, frente a 71 en AI & NLP, con Python en el 15 % de ellas y Microsoft Entra ID (identidad y accesos, precisamente) en el 10 %. Traducción de mercado: poquísima oferta de perfiles de seguridad, demanda creciente de gestión de identidades y accesos, y un servicio, la auditoría de accesos post-Dinamarca, que casi nadie tiene empaquetado. Si te preguntas si este perfil tiene recorrido, el análisis de Security Engineer en España ya apuntaba que es un rol que nadie cubre y paga bien.
Errores típicos al vender esta auditoría (y cómo evitarlos)
1. Vender miedo en vez de diligencia
El miedo caduca en dos semanas y paraliza. La diligencia, «podrás demostrar que revisaste tus accesos cuando te lo pregunten», no caduca nunca y se compra con tranquilidad. Formula siempre la segunda.
2. Prometer cumplimiento total
No garantices «RGPD compliance» en dos semanas: es jurídicamente aventurado y técnicamente falso. Promete visibilidad y un plan priorizado. El cumplimiento es un camino, y tú vendes el mapa.
3. Empezar por el firewall
El alcance natural de esta auditoría son las integraciones y los accesos, no el perímetro. Si te dispersas hacia EDR, redes y endpoint, compites con MSSPs de presupuesto infinito. En tu calle, accesos de terceros, límites, logs, la competencia es casi nula.
4. Olvidar a los agentes de IA
Nuevo en 2026: los agentes de IA con credenciales para consultar datos son, funcionalmente, otra integración con acceso legítimo, y sin límites de volumetría, replican el patrón danés a velocidad máquina. La revisión de qué pueden leer los agentes y con qué topes es la extensión natural del servicio, y enlaza con lo que ya explicamos sobre seguridad de agentes de IA: prompt injection, auditorías y tarifas.
Preguntas frecuentes sobre la filtración del CPR danés
¿Qué se filtró exactamente en el CPR danés?
Según el comunicado oficial del CPR del 5 de octubre de 2026: nombres, direcciones y números CPR de aproximadamente 8,8 millones de ciudadanos registrados, obtenidos mediante el abuso del acceso legal de una empresa danesa al sistema. En el alcance están prácticamente todas las personas vivas registradas en Dinamarca, incluidos extranjeros con residencia y fichas históricas de fallecidos, con datos de identificación, edad, sexo y relaciones familiares. Los ciudadanos con protección activa de nombre y dirección quedaron exentos de esos campos.
¿Fue un hack informático?
No en el sentido clásico: no se explotó una vulnerabilidad técnica ni se rompió cifrado. El vector fue el uso indebido de un acceso empresarial legítimo, presumiblemente sin los límites de consulta y la monitorización que habrían detectado la extracción masiva. Es el patrón de riesgo de acceso autorizado, no de intrusión.
¿Por qué debería preocuparle a una empresa española?
Porque el patrón, integraciones legítimas con acceso a datos de terceros, sin límites de volumen ni vigilancia, es ubicuo en el ecosistema español de APIs y ficheros. Según los datos de SeniorStack, solo un 1,1 % de 24.953 ofertas tech analizadas mencionan GDPR/RGPD: la prevención de accesos no está en el radar de contratación, y esa brecha es una oportunidad de servicio.
¿Qué multas aplica el RGPD en España?
La LOPDGDD y el RGPD contemplan hasta 20 millones de euros o el 4 % de la facturación global anual para infracciones muy graves, y niveles intermedios para graves. La existencia de auditorías de acceso periódicas y su documentación es un factor atenuante y una prueba de diligencia exigida por el artículo 32 RGPD.
¿Cuánto cobra un freelance por una auditoría de accesos?
Rangos orientativos del mercado español: 900-1.800 € para una auditoría express de 3-5 días sobre la integración más crítica; 2.500-6.000 € para la auditoría completa con informe y plan de remediación; 400-900 €/mes por el retainer trimestral de revisión. El precio real depende del tamaño del cliente y de la sensibilidad de los datos.
¿Qué tiene que ver esto con los agentes de IA?
Todo: un agente de IA con credenciales para consultar un sistema de datos es, a efectos de riesgo, otra integración con acceso legítimo y sin fatiga. Si no tiene topes de consulta ni alarmas de volumetría, puede extraer datos a escala máquina antes de que un humano lo note. La auditoría de accesos de 2026 debe incluir a los agentes en el inventario del paso 1.
Dinamarca acaba de aprender en 8,8 millones de fichas la lección que la teoría de seguridad lleva décadas repitiendo: el riesgo no siempre entra por la fuerza; a veces entra por la puerta que abriste legalmente y nunca volviste a mirar. Alguien tiene que volver a mirarla. Que cobres por hacerlo es perfectamente legítimo.
¿Te está sirviendo SeniorStack? Añádenos a tus fuentes preferidas en Google y nos verás destacados en tus resultados y respuestas de IA.